L’IA générative a changé les règles. En 2026, l’IA est déployée dans des processus critiques — et les COMEX se retrouvent face à des décisions qu’ils n’ont pas anticipées. Qui est responsable quand un modèle IA prend une mauvaise décision ? Comment éviter que les équipes utilisent ChatGPT avec des données confidentielles ? Que répondre à l’AI Act européen ? Ces questions ne sont plus des problèmes IT. Ce sont des décisions de gouvernance qui relèvent du COMEX.
Les 5 décisions prioritaires pour les COMEX
Décision 1 — Définir les cas d’usage autorisés et interdits
Toutes les utilisations de l’IA ne se valent pas. Certains cas d’usage présentent des risques faibles (génération de contenu marketing, résumé de documents internes) ; d’autres présentent des risques élevés (décisions de crédit, recrutement, notation de la performance). Le COMEX doit décider : quels cas d’usage sont autorisés sans restriction, lesquels nécessitent une validation préalable, lesquels sont interdits. Cette classification est aussi une exigence de l’AI Act européen.
Décision 2 — Nommer des responsables clairs
L’absence de responsabilité claire est la cause principale des incidents IA en entreprise. Les rôles à définir : Business Owner (directeur métier responsable du déploiement), AI/ML Lead (supervision technique), Responsable conformité (DPO/juridique), Comité de gouvernance IA (arbitrages transversaux). Ce qui ne fonctionne pas : confier la gouvernance IA uniquement à la DSI.
Décision 3 — Établir une politique d’usage des données pour l’IA
L’IA se nourrit de données. Le COMEX doit décider quelles données peuvent être utilisées pour l’IA et dans quelles conditions. Risque immédiat sous-estimé : sans politique claire, les collaborateurs utilisent des LLMs publics avec des données confidentielles — contrats, données clients, stratégies — exposant l’entreprise à des fuites et des violations du RGPD.
Décision 4 — Intégrer l’IA dans le dispositif de gestion des risques
Les risques IA combinent des risques technologiques (modèles qui dérivent, données empoisonnées), des risques business (décisions erronées, biais discriminatoires) et des risques réputationnels. À mettre en place : un processus d’évaluation des risques avant tout déploiement en production, des mécanismes de monitoring des modèles, un plan de réponse aux incidents IA, une cartographie des risques IA intégrée à la cartographie globale.
Décision 5 — Investir dans la formation des dirigeants et des équipes
Pour les dirigeants : comprendre les capacités et limites de l’IA, les risques sectoriels, savoir poser les bonnes questions sur les projets IA. Pour les équipes : utilisation responsable des outils IA, détection des erreurs et biais, procédures d’escalade. Ce qui accélère l’adoption : des sessions courtes et pratiques (2 heures, pas 2 jours), ancrées sur des cas d’usage réels de l’entreprise.
Les indicateurs de maturité de la gouvernance IA
Politique IA : inexistante → en rédaction → approuvée et communiquée. Responsabilités : floues → partiellement définies → clairement assignées. Gestion des risques IA : absente → ad hoc → intégrée au dispositif global. Conformité AI Act : non évaluée → en cours → plan de conformité actif. Formation dirigeants : aucune → sensibilisation → formation structurée.
Conclusion
La gouvernance IA est une responsabilité de direction générale. Les entreprises qui traitent ce sujet sérieusement — avec des décisions claires, des responsabilités nommées et des processus opérationnels — déploient l’IA plus vite, avec moins de risques et plus d’impact.
Ripley Partners accompagne les COMEX dans la mise en place de leur gouvernance IA — de la définition des politiques à la formation des équipes dirigeantes.